🛡 Módulo de Ferramenta de Segurança de IA
CVE-2026-54121: Representação de Identidade no Active Directory Certificate Services (Certighost)

Módulo Oficial de Auditoria de Segurança para o Ecossistema de Ferramentas de Segurança de IA

🌐 Demonstração Web • 📚 Site do Projeto • 💬 Chat da Comunidade

Navegação do Site: Início • Atualizações • Downloads • Módulos

🧠 Visão Conceitual

Este módulo fornece capacidades de diagnóstico para o CVE-2026-54121, apelidado de Certighost. A vulnerabilidade existe dentro do Active Directory Certificate Services (AD CS) durante a fase de validação das inscrições de certificados de contas de computador.

Um atacante que possua credenciais de domínio padrão de baixo privilégio cria uma nova conta de computador e envia uma solicitação de certificado contendo atributos manipulados cdc (listener de IP controlado) e rmd (FQDN do DC alvo). Quando a Autoridade de Certificação (CA) se conecta de volta para validar a identidade da máquina, listeners maliciosos de LDAP (porta 389) e SMB/LSA (porta 445) falsificam os atributos de identidade do Controlador de Domínio alvo (sAMAccountName, SID, dNSHostName). Isso engana a CA, fazendo-a emitir um certificado autêntico de Controlador de Domínio, permitindo o comprometimento total do domínio via PKINIT.

🎯 Filosofia Central de Impacto

"Autentique-se como uma máquina, escale para o domínio inteiro."
O Certighost contorna as permissões tradicionais de templates do AD CS ao envenenar o pipeline de resolução de identidade da CA. A obtenção de um certificado válido de Controlador de Domínio concede autenticação PKINIT instantânea, produzindo tanto um cache de credenciais TGT (.ccache) quanto o hash NT do DC alvo.

📊 Especificações da Vulnerabilidade

🕸 Cenário de Ataque & Arquitetura

graph TD
    A[Low-Priv Domain User] -->|1. Create Computer Account| B[Domain Controller]
    A -->|2. Start Rogue SMB 445 / LDAP 389 Listeners| C[Attacker Machine]
    A -->|3. Submit Cert Request with cdc & rmd Attributes| D[Active Directory CA]
    D -->|4. CA Lookups Connect to Rogue Listeners| C
    C -->|5. Validate via Netlogon & Return Target DC Identity| D
    D -->|6. Issue Valid DC Certificate .pfx| A
    A -->|7. Perform PKINIT with DC Certificate| E[Full Domain Takeover / NT Hash Export]

🛡 Lista de Verificação de Mitigação

• 🟢 Aplicar Atualizações de Segurança: Implantar os patches oficiais da Microsoft que abordam o CVE-2026-54121 em todos os servidores AD CS.
• 🟢 Restringir a Criação de Contas de Máquina: Definir ms-DS-MachineAccountQuota como 0 para impedir que usuários não administradores criem novos objetos de computador.
• 🟡 Fortalecimento do AD CS: Desabilitar templates de certificado vulneráveis e garantir que EDITF_ATTRIBUTESUBJECTALTNAME2 (ESC6) esteja desativado, a menos que seja explicitamente necessário.
• 🟡 Filtragem de Rede: Bloquear o tráfego de saída SMB (445) e LDAP (389) dos servidores CA para estações de trabalho arbitrárias.

💻 Como Executar este Módulo

⚠️ IMPORTANTE: Este módulo foi projetado para testes de diagnóstico seguros dentro do framework AI Security Tool. Execute apenas contra alvos autorizados com privilégios administrativos elevados.

1️⃣ Instalar o AI Security Tool

Para executar os scripts de diagnóstico e monitoramento, instale o framework principal do AI Security Tool:

2️⃣ Instalar Dependências & Execução

Instale as bibliotecas Python necessárias para listeners maliciosos de LDAP/SMB e manipulação de certificados:

# Install python dependencies
sudo pip install --break-system-packages git+https://github.com/fortra/impacket.git cryptography pyasn1 asn1crypto pycryptodome dnspython

# Execute Certighost proof-of-concept (Requires root for ports 389/445)
sudo python3 certighost.py -d playground.local -u lowpriv -p 'Password1234' --dc-ip 192.168.1.10

🔍 Módulos de Auditoria de Segurança & Repositórios de PoC

Módulos de scanner de vulnerabilidades, scripts de PoC e repositórios de pesquisa mantidos pela nossa comunidade:

⚖️ Licença & Aviso Legal

🚨 Aviso Legal

Esta ferramenta e análise de segurança são fornecidas estritamente para auditoria autorizada de sistemas, pesquisa defensiva e engajamentos de teste de penetração.
Executar o CVE-2026-54121 contra ambientes de domínio sem permissão expressa por escrito do proprietário do sistema é ilegal. Os autores não assumem qualquer responsabilidade por comprometimento não autorizado de domínio, perda de dados ou interrupções de sistema.

🔄 Contribuição & Comunidade

Acolhemos contribuições da comunidade de pesquisa de segurança! Principais áreas de contribuição:

1. Integrações de IA: Adicionar novos provedores de LLM e desenvolver agentes de segurança especializados.
2. Ferramentas de Segurança: Desenvolver módulos de vulnerabilidade e integrar scanners de CLI.
3. Otimização: Melhorar a velocidade do parser, a segurança de execução e a lógica de cache.
4. Documentação: Escrever artigos de pesquisa, guias e traduções localizadas.

🔗 Contato & Suporte

• Site Oficial: ZeroDayEvil.com
• Análise Técnica: Análise Detalhada por H0j3n
• Advisory da MSRC: Guia do CVE-2026-54121
• Administrador do Telegram: @ZeroDayEvil
• Chat do Telegram: @ZeroDyaTool_chat
• Canal do Telegram: @ZeroDyaTool_channel
• Patrocinar o Projeto: Doações via PayPal
• Open Collective: opencollective.com/ZeroDayEvil

AI Security Tool — Reimaginando o fluxo de trabalho em terminal e a automação para profissionais de cibersegurança.